身の丈で固めるサイバーセキュリティ

以前書いたままで放置していた原稿を見つけたので、こちらに載せておきます。

身の丈で固めるサイバーセキュリティ
～お金と手間を最小限にしたセキュリティ対策のススメ～

昨今、コンピュータウイルス感染や情報漏洩といった情報（サイバー）セキュリティに関する問題がメディアなどに大きく取り上げられるようになってきました。現代のビジネスはITに大きく依存しており、それは中小、零細企業といえども例外ではありません。とりわけ、インターネットや最新ITの活用は、これら小規模な企業にとって、大きなビジネスチャンスをもたらします。一方で、ITへの依存度が上がれば上がるほど、システムトラブルやサイバー攻撃等によるビジネスへのリスクは大きくなります。とりわけ、インターネットを利用してビジネスの拡大を図りつつある先進的な企業にとって、こうしたインシデント（事故）は致命的な影響をもたらしかねません。言うまでも無く、ITを活用する企業すべてにとって、情報（サイバー）セキュリティ対策は最重要課題のひとつでしょう。

本題に入る前に、言葉をちょっと整理しておきます。最近、「サイバー」セキュリティという言葉が流行しています。これは、インターネットなど「サイバー空間」を利用する上でのハッキングやコンピュータウイルスなどの侵害に対する耐性をつけることを意味し、IT活用におけるセキュリティとおおむね同義です。一方、従前から使われてきた「情報」セキュリティは、IT、つまりデータや通信の世界だけでなく、そもそもの「情報」をどう守るかという視点からの言葉で、ITに限らず、書類や物理的な記録、設備や施設を含めた、すべての「情報」とその入れ物を対象にします。言い方を変えれば、「サイバー」セキュリティは「情報」セキュリティの一部であると言うことができます。本来であれば、全般的な情報管理を含めた本来の情報セキュリティを確立した上で、「サイバー」を語るべきなのですが、ここでは、まずITにからめた「サイバー」を中心に考え、そこから情報セキュリティ全体に広げていくアプローチをとることにします。

さて、ITにおけるセキュリティと言うと、高価なセキュリティ対策製品やサービスの導入を思い浮かべる方も少なくないと思います。実際、中堅以上の規模の企業の多くが、こうしたソリューションを導入し、運用しています。しかし、その多くが、ベンダやSI事業者任せの導入、運用に留まっていて、多額の費用を必要としたり、思ったような導入効果が得られていなかったりしている現実があります。その原因は、こうしたセキュリティソリューションやベンダそのものにではなく、多くの場合、ユーザ側の理解不足や丸投げ体質にあると考えられるのです。いかに優秀な（もしくは高価な）ソリューションを導入しても、ユーザがその意味を理解し、積極的に使いこなそうとしない限り、これらは十分に機能しません。さらに、ソリューションの導入以前に、ユーザ側が行っておくべき基本的な対策もあります。こうした対策抜きでソリューションを導入しても、多くの「抜け穴」ができてしまうのです。この点が、これまでの「サイバー」セキュリティ対策の最も大きな問題だろうと思います。

一方、小規模なビジネスでは、こうした高価なソリューションやサービスの導入は、なかなか困難です。また、セキュリティの専門知識を持つ人材の確保も困難な現実があります。一方、ITへの依存度は、むしろ高まっているため、リスクは非常に大きくなりがちです。しかし、悲観する必要はありません。少なくともITを使いこなせるのであれば、それに付随するセキュリティ強化は、それほど難しいことではないのです。最近のPC環境は以前に比べセキュリティが大幅に強化されています。それを使いこなす方法さえわかれば、追加のソリューションなしでも大幅にセキュリティの強化が可能です。パスワードの作り方をちょっと工夫するだけで、PCやサーバのサイバー攻撃への耐性を大幅に向上できるでしょう。これらは知識さえあれば、PCの利用者や、それをサポートする技術者の手間と時間を少し融通することで実行することができます。

IT部門を持つ規模の企業なら、IT部門の担当者が自分の担当業務の範疇で最低限何をすればいいかを知ることで、こうしたことが実現できるでしょう。ITを社員個人のスキルに頼っている小さな会社なら、その社員に少し勉強してもらい、少し時間を融通できれば、事足りるはずです。外部の小さなIT会社や個人の技術者に依存している場合は、ちょっと時間がかかりますが、彼らにとってもそうしたスキルを身につけることは、ビジネス上プラスに働くので、そのようなことを発注者である企業側から働きかけていくことが重要です。

最後に、サイバーセキュリティを強化する上で重要になるポイントをいくつか挙げておきます。これらは、基本的に追加費用はほとんどかかりません。また、知識さえあれば作業もそれほど難しくないことばかりです。

①コンピューター（サーバ）や業務システム利用者のID（ログインするユーザ名）を誰かがまとめて管理し、必要に応じて追加、削除を行うこと。とりわけ、不要になったIDを放置しないこと。

②コンピュータ（PCやサーバ等）のパスワード作りのルールを決めておくこと。（少なくとも8文字以上、英数字混在、できれば記号一個以上を含むものとすることを推奨。また、人名、地名やその他類推が可能な語句を使用しないこと。パスワードを忘れないためにメモすることはかまわないが、メモは人目に触れないように管理すること。またパスワードが漏洩した懸念がある場合や、複数人で共有しているパスワードの利用者が変わった場合などは、必ずパスワードを変更すること）

③PCのOS（Windows）のセキュリティ更新を確実に行うため自動更新設定を行うこと。サーバについては、担当者が毎月更新の有無を確認すること。

④PCにはウイルス対策ソフトを導入すること。（マイクロソフトがバンドルしているWindows DefenderやSecurity Essentialなど無償のものでよい）また、自動的に最新バージョンに更新されるよう設定しておく（デフォルト設定を変えない）こと。

⑤ネットワーク上のオンラインサービスを使用する場合は、有償、無償にかかわらず、誰かがサービス約款などを確認し、情報の流用、開示などが生じないことを確認すること。また、パスワードの管理は②に準じて（できればより強固に）行うこと。

⑥業務に使用するソフトウエアは、なるべく共通化し、フリーソフトなどを使用する場合は、実績のあるソフトウエアを必ず正式な配布元からダウンロードして使用すること。

⑦ＰＣやサーバ、オンラインサービス内に格納されている重要な情報（データ）は定期的に調査し、不要なものは削除し、コピーが散逸しないように注意すること。（プリントアウトされた資料等も不要になったらシュレッダー処理など処分することを習慣づけること）

こうした対応は基本的なことばかりですが、これらを徹底することでセキュリティのレベルは大幅に向上します。もちろん、高度なサイバー攻撃を受ける可能性は残りますが、これらの対策が行われた環境に攻撃を仕掛けることは、攻撃者にとってもリスクが高くなるため、よほど重要な情報等がない限りは、攻撃される可能性は大きく低下します。つまり、攻撃者に対しての敷居を高くする効果が十分期待できるのです。また、具体的な設定方法等は、様々な書籍やWebサイトに記載されているものばかりなので、情報収集も難しくありません。また、まとまった情報源として、IPA（情報処理推進機構）が様々な資料を公開していますから参考にできるでしょう。
。
https://www.ipa.go.jp/security/measures/index.html

もちろん、それでも侵害を受けてしまうことはあります。たとえば、ウイルス対策ソフトで検知できない新種のウイルスに感染してしまうようなケースです。こうした場合に、どう対処すればいいかについても、誰かが知っておく必要があります。また、そうした緊急時に相談できる先をあらかじめ用意しておくことも重要ですが、とりわけ小規模な企業にとっては、そのような先がなかなか無いのも現実です。一般に、こうしたアドバイスが得られる専門企業は、大企業を念頭にビジネスをしていることが多く、サービス内容や価格が合わない可能性が高いからです。今後、小規模な企業が複数社共同で専門家に依頼して相談窓口を運用するといった、いわゆるコンソーシアム的な取り組みも必要になるかも知れません。緊急対処だけでなく、日常的なセキュリティ運用についても、こうした共同運用の可能性も検討されるべきでしょう。また、こうした中小企業でITを担当するエンジニアが相互に情報交換できるようなネットワーク作りも不可欠です。これらは、直近の社会的な課題と言えます。

サイバーセキュリティ対策は、まずこうした基本的なことから始めて行きます。そこから先は、身の丈に合わせて、どこまでコストや手間をかけるかを考えていくといいでしょう。

ポートスキャン概況（2019年9月30日）

本日の概況です。



本日、特に目立った変化はありませんでしたが、445/tcpの活動がやや活発化傾向にあるようです。



特に突出した地域もないように見え、全体的に活動が増加しているようです。

ポートスキャン概況（2019年9月29日）

本日の概況です。昨日の23/tcp大量スキャンでグラフがスケールアウトしてしまい詳細が分かりにくいですが、特に大きな変化は見られません。



午後に米国発で広範囲のポートに対する大量のスキャンが観測されました。観測対象の全IPレンジに対して少数のIPから着信があり大規模なスキャン活動でしたが、そうした活動を行っている組織が発信元であり、悪意に基づくものではない（はず？）ことが判明しました。ちょっとお騒がせな感じです。



1433/tcpの活動が多少活発化傾向にありますが、それ以外は特に大きな変化はありませんでした。

ポートスキャン概況（2019年9月28日）

今日の概況です。



今日は、17時台に23/tcpで大量のスキャンを観測しました。



この発信元は中国のIPからで、27個ほどのIPから、短時間に大量のスキャンが発生しています。



IPアドレスに偏りはなく、ボット活動による一斉スキャンではないかと思われます。また台湾や日本でも、相対的に23/tcpの活動が高まりを見せています。






これとは別に、19時台、20時台に5555/tcp（Android ADBポート）でも多くのスキャンを観測しました。



こちらの発信元は韓国割り当てのIPで、4個のIPからすべてのスキャンが発生しています。



一個はケーブルテレビ事業者、残りはキャリア系とみられるISPの管理するIPからでした。このポートは一部のセットトップボックスや、HDDレコーダー、テレビなどAndroidを使用している機器で誤って開放されていることが確認されており、マルウエア感染の原因となっています。

一方、しばらく発生していなかったWebサーバへのDoS的なイベントも一昨日、昨日と発生しており、今回は日本割り当てのIPアドレスが使用されています。



Webサーバのログからはリクエストが発生した記録がないため、単純なSYN Floodかコネクションを張るだけの攻撃とみられ、発信元は詐称されている可能性があるため、実際の攻撃元は不明です。

以上、本日の概況でした。

ポートスキャン概況（2019年9月26日）

本日の概況です。



今日は、139/tcp, 445/tcpで、インド、タイ、ベトナムなどを発信元とするスキャンが一時的に活性化しました。



また、1433/tcp（MS SQLサーバ）では、フィリピン（PH）発のスキャンが活性化しています。



地域別では、中国（CN）発で広範囲のスキャンが観測されました。/29セグメント全体で広範囲のポートに対して発生しており、意図的な探索活動の可能性があります。



香港（HK）発では、昨日に引き続き、小規模ながら、SSH関連ポート（22,2222,12222など）を対象としたスキャンがありました。また、5555/tcp（Android/ADB）に対するスキャンも少数ながらコンスタントに発生しています。



台湾（TW）発では、23/tcpの活動がコンスタントに継続していますが、今日は特に活性化した時間帯がありました。



ベトナム（VN）発では、先に書いたように 139/tcp, 445/tcpの活動が活性化しました。139/tcpについては、コンスタントに活動が続いています。



日本発の活動は比較的低調ですが、23/tcpなどIoTマルウエア関連と思われるポートへのスキャンや445/tcp（SMB）へのスキャン（Windows系を狙ったマルウエアの活動と思われる）が比較的高いレベルにあります。



以上、本日の概況でした。

ポートスキャン概況（2019年9月25日）

本日の概況です。



本日はまた韓国IP発で、32761/udpへの短時間の大量着信がありました。先日、日本のモバイルISPのIPから同様の着信が発生していますが、このポートへの着信の発生は韓国、日本、香港など一部に限られており、発信元が国ごとに単一のIPであることから、同一の発生源が国を移動しているという推測もできます。



ただ、これも推測に過ぎず、原因は不明です。23/tcpでは、中国発で活発化した時間帯がありました。



中国発では、23/tcpの他、22/tcp,445/tcpなどでも比較的活発な活動が継続しています。22/tcpでは、引き続き大半が中国発ですが、今日は、ロシア、ルーマニアなどでも活発化した時間帯がありました。
3389/tcp（RDP）では、活動の主体は中国、ロシア、ルーマニア、米国などで、ランサムウエアがらみの活動の比率が高いと思われます。



地域別では、香港発でスキャン活動が高まった時間帯がありました。増加の原因となったポートは、22/tcp, 2222/tcp, 12222/tcp, 22222/tcpなどで、いずれもSSHのサービス狙いとみられます。



ロシア発では、引き続き広範なポートへのスキャンが観測されていますが、機能から今日にかけて、活動が少し活発化しています。



日本発の活動は比較的少数ですが、今日は445/tcpの活動が若干高かった時間帯がありました。Windowsを狙ったマルウエアの活動の可能性があります。



以上、今日の概況でした。

ポートスキャン概況（2019年9月23日）

今日の概況です。



23/tcpの活動は引き続き活発で、中国発がその多くを占めています。



22/tcpでも、中国発の活動はコンスタントに多くを占めています。



中国発では22/tcp, 23/tcp以外では、広範なポートへの探索があり、特に10000番以下のポートへの探索が密となっています。



米国発では、23/tcpの活動が少し落ち着いた一方、こちらも広範囲の探索が目立つようになっています。正午ごろに、広範囲の探索が特に活発化しました。



こうした広範囲の探索活動が引き続き活発なのがロシアです。これは、特定のサービスポートの周囲や下位桁にそれらのポート番号を持つようなポートを軒並みスキャンするような活動が多いためで、標準のポート番号以外の番号に変更された特定のサービス（プロトコル）を探索する目的とみられます。発信元のIP数は少数ですが、念入りな探索を行っています。



以上、今日の概況でした。

ポートスキャン概況（2019年9月22日）

本日の概況です。



今日は、23/tcpで米国発の活動が活発でした。





Windows系サービスでは139/tcp, 445/tcpで、インド発の活動が活発化した時間帯がありました。



日本発では、32761/udpパケットが短時間で大量に着信するという事象が未明に発生しました。



宛先は、観測対象のうちの特定のIP一個のみで、このIPはメールサーバとして公開されているものです。発信元は、某通信事業者のモバイル接続に割り当てられているIPで、モバイル接続された機器からのものと考えられます。同種の現象は、以前、韓国のISP配下のIPアドレスからも発生したことがありますが、原因は不明です。

以上、本日の概況でした。

ポートスキャン概況（2019年9月21日）

今日の概況です。全体的に顕著な変化は見られませんが、地域別ランキングでは、ネパールが2位に浮上しています。また、引き続き23/tcpは多くの地域で活発です。



ネパールについては、23/tcp, 7547/tcp, 8291/tcpと、IoTマルウエアに関連するポートが大半を占めています。特定のマルウエアが拡散しているものと思われます。



午後10時台に中国IP発で広い範囲のポートに対するスキャン活動が活発化しました。最近、時折こうした現象が見られ、人為的なスキャン活動が疑われます。



22/tcpでは、14～15時間程度のサイクルで、ロシアIPからのスキャンが活発化するパターンが見られます。



以上です。

ポートスキャン概況（2019年9月20日）

本日の概況です。


夜9時台に韓国発で80/tcpの活動が急増しました。発信元は単一のIPです。



Webサーバのログには何も残っておらず、サブネットの範囲全体をスキャンしているようなので、単純なポートスキャンのように見えます。ただ、それにしては頻度が高いので、中途半端なDoSの可能性も考えられますが、意図は不明です。

他に大きな変化は見られません。先般、日本発で広い範囲のスキャンがあると書きましたが、その後の調査で、内部側からのアクセス（NASがメーカーサイトからアップデートなどの情報を頻繁にUDPで取りに行き、その戻りパケットが拒否される）によるノイズと判明しました。この宛先を除外したところ、一気に静かになっています。



以上、本日の概況でした。

ポートスキャン概況及び地域別傾向（2019年9月18日）

本日の概況です。



全体として特筆すべき大きな変化は見られませんでした。今日は、スキャン元の国・地域別のレポートを改良して、時系列分布とポート別分布（３日間の集計）の両方を表示するようにしてみました。ポート別分布は地域によってかなり異なります。

スキャン発生数上位を占める、中国、米国、ロシアの3地域は、広範なポートに対するスキャンが検出されています。中国は昨日と本日、こうした活動が高まる時間帯がありました。下のポート分布のグラフは縦軸（観測数）を対数軸にとっています。広範囲のスキャンは10回以下の回数が多く、少数ののスキャン元から実行されているようです。


これらはマルウエアよりも人為的なスキャン活動の可能性もあるでしょう。10000番未満のポートへのスキャンは特に、密に行われているように見えますが、これは既知のサービスの密度が高く、スキャンがその周辺を中心に行われていることを示唆していると思われます。米国についても類似の傾向が見られます。



ロシアについては、上位ポートについても密にスキャンが発生していますが、その多くは10回未満です。これも人為的な広範囲のスキャン活動が疑われます。



このような広範囲のスキャンでは、サービスポートを標準ポートから変更していたとしても、探索にかかる可能性があり、注意が必要です。実際、変更されたポートを含めて探索する意図があるものと思われ、将来的な攻撃の対象とされる可能性が懸念されます。

一方、それ以外の地域では、特定のサービスポートにフォーカスしたスキャンが中心となっていて、様相は大きく異なります。韓国、香港、台湾、ベトナム、ネパールの順に見てみます。











これらの国々からのスキャン活動は、特定のサービスをピンポイントに狙ったものが多く、その多くがマルウエアによるスキャン活動と推測されます。とりわけネパールでは、IoT系ボットとみられる活動が大部分を占めているようです。

で、我が国はというと、全体的に頻度は低いものの、定常的に広範囲のスキャンが見られるようになっています。（このグラフからは、NICTやICT-ISACなど調査のためのスキャン活動を除外しています）３日間集計で多くが4回未満の頻度ですが、ある程度時間をかけて広い範囲をスキャンしているように見えます。まだ発信元の分析は行っていませんが、これも人為的なものである可能性が高いと思われます。



このように、地域別で見ると明らかにパターンが異なります。今後、ヨーロッパや南米方面などについても分析していく予定です。